А,В,Соколов, 0,М, Степанюк - Скачать документы

Глава 2. Проблемы защиты информации 105
вопросов не вызывает: ясно, что можно построить различные расшифровщики. Суть в
том, что этот процесс автоматизирован, и каждая новая копия вируса содержит новый
расшифровщик, каждый бит которого может отличаться от битов расшифровщика породившей
ее копии.
Некоторые вирусы (например, вирусы семейства Eddie, Murphy) используют часть
функций полноценного вируса-невидимки. Обычно они перехватывают функции DOS
FindFirst и FindNext и «уменьшают» размер зараженных файлов. Такой вирус невозможно
определить по изменению размеров файлов, если, конечно, он резидентно находится
в памяти. Программы, которые не используют указанные функции DOS (например,
Norton Commander), а напрямую обращаются к содержимому секторов,
хранящих каталог, показывают правильную длину зараженных файлов.
При инфицировании файла вирус может производить действия, маскирующие и
ускоряющие его распространение.
К подобным действиям можно отнести обработку атрибута Read-only, снятие его
перед заражением и последующее восстановление этого атрибута. Многие файловые
вирусы считывают дату последней модификации файла и восстанавливают ее после
заражения. Для маскировки своего распространения некоторые вирусы перехватывают
прерывание DOS, возникающее при обращении к диску, защищенному от записи, и
самостоятельно обрабатывают его. Поэтому среди особенностей алгоритма файлового
вируса можно назвать наличие или отсутствие обработки и скорость его распространения.
Скорость распространения файловых вирусов, заражающих файлы только
при их запуске на выполнение, будет ниже, чем у вирусов, заражающих файлы при их
открытии, переименовании, изменении их атрибутов и т. д. Некоторые вирусы при
создании своей копии в оперативной памяти компьютера пытаются занять область
памяти с самыми старшими адресами, разрушая временную часть командного интерпретатора
COMMAND.COM. По окончании работы зараженной программы временная
часть интерпретатора восстанавливается, при этом происходит открытие файла
COMMAND.COM и его заражение, если вирус поражает файлы при их открытии.
Формально macro-вирусы являются файловыми вирусами, заражающими файлы некоторых
систем обработки документов (например, Word for Windows, Excel for Windows
и AmiPro). Указанные системы имеют встроенные макро-языки (Word Basic, Visual Basic).
Эти языки обладают достаточными возможностями, чтобы производить практически все
операции, необходимые вирусу. Имеются даже шифрованные и полиморфные macroвирусы.
Кроме того, все чаще стали встречаться вирусы, поражающие как документы,
так и исполняемые файлы (иногда обычные ЕХЁ-файлы, иногда NewEXE, иногда и те, и
другие). Инфицирующая способность таких вирусов крайне велика.
В настоящий момент более 90% macro-вирусов написаны для Word for Windows.
Это без сомнения объясняется тем, что файлы данного текстового процессора фактически
стали стандартом для текстовых документов. Самый первый macro-вирус
(Word. Concept) также заражал DOC-файлы.
Большинство макро-вирусов имеют типичную структуру. Они начинаются с автоматически
выполняющегося макроса, заражающего глобальный шаблон Normal.dot.
Также в их состав входят некоторые макросы, которые заражают файлы при определенных
действиях (File > Save As, File > Save и Tools > Macros). Документы заражаются
при совершении над ними операций, то есть инфицируются уже при открытии.